近期，Have I Been Pwned (HIBP) 数据库新增了一批数据，揭示了约 720 万个电子邮件地址及密码对的泄露情况。这批数据源自 2013 年 5 月俄罗斯网络犯罪论坛 YouHack 遭受的黑客攻击。
- YouHack 论坛在 2013 年遭入侵后，其数据于近日再次公开上线，涉及 720 万组邮箱与密码。
- 泄露内容不仅包含普通用户凭证，还涵盖 10.7 万名论坛成员的用户名、IP 地址以及采用弱保护机制的 MD5 密码哈希值。
- 安全研究人员指出，即便数据年代久远，被回收并破解的密码仍具有极高的利用价值。
未加盐的 MD5 哈希构成主要风险
HIBP 披露的细节显示，该档案包含了近 720 万个电子邮件地址和密码对。此外，其中还记录了 107,000 名论坛注册成员的详细信息，包括电子邮件地址、用户名、IP 地址以及 MD5 格式的密码哈希，且大部分哈希值未进行“加盐”处理。
虽然黑客通常使用 VPN、代理服务及一次性邮箱来隐藏身份和位置，使得 IP 地址和用户名的直接追踪价值有限，但密码信息的泄露却带来了更严重的连锁反应。正如普通网民一样，许多网络犯罪分子也缺乏基本的网络安全卫生习惯，倾向于在多个服务中重复使用相同的密码。
MD5 作为一种古老的加密哈希算法，因安全性不足而备受诟病。它会将密码转换为固定长度的字符串，但由于计算速度快，威胁行为者可以利用现成的软件和硬件轻松暴力破解。更为严重的是，当哈希值未加盐时，系统未在原始密码前添加独特的随机值，这使得攻击者能够使用预先计算的彩虹表快速识别出不同账户间使用的相同密码。一旦这些密码被破解，攻击者便可尝试登录受害者复用该密码的其他在线账户。
历史泄露数据的再流通与地缘政治背景
据《The Register》报道，这并非 YouHack 论坛数据首次出现在公共领域（clearweb）。在 2024 年发生的“所有泄露之母”（Mother of All Breaches）事件中，高达 260 亿条记录被曝光，其中便包含了来自 YouHack 的文件。
值得注意的是，此次事件也是近期俄罗斯相关数据泄露的一部分。与此同时，俄罗斯联邦储蓄银行忠诚度计划 SberSpasibo 在 2023 年发生的数据泄露也被公开，涉及 4800 万用户的记录。这些数据包括 330 万个独特的电子邮件地址、电话号码和出生日期，部分银行卡号以未加盐的 SHA-1 哈希形式存储，同样面临安全风险。该起攻击的时间跨度为 2017 年 4 月至 2022 年 2 月，声称负责的组织同时也宣称对俄罗斯最大私人银行 Alfa-Bank 的攻击负责。
分析认为，这一系列网络攻击可能与俄乌冲突延伸至网络空间有关。自全面入侵开始以来，双方持续在互联网上展开对抗。乌克兰方面也对俄罗斯目标实施了破坏性网络行动，例如在 2025 年 12 月针对物流公司 Eltrans+ 的攻击中，据报道该公司有 165TB 的数据被删除或加密，超过 700 台服务器陷入瘫痪。
